Katalog podatności CVE

Podatność CVE-2023-5042 dotyczy ujawnienia wrażliwych informacji z powodu niebezpiecznych uprawnień do folderów. Dotyczy to produktów Acronis Cyber Protect Home Office (Windows) przed wersją 40713 oraz Acronis True Image OEM (Windows) przed wersją 42575.

Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.

Podatność Cross Site Scripting (XSS) w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji oraz wykonanie dowolnego kodu poprzez moduł REST API. Problem dotyczy funkcji analyseVarsForSqlAndScriptsInjection i testSqlAndScriptInject.

Podatność polegająca na niebezpiecznym przesyłaniu plików w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych. Umożliwia zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie dostępu do wrażliwych informacji poprzez obejście filtrowania rozszerzeń i funkcji zmiany nazw plików.

Podatność w Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu, uprzywilejowanemu atakującemu wykonanie dowolnego kodu poprzez spreparowane polecenie lub skrypt.

Podatność SQL injection w Nagios XI 5.11.1 i wcześniejszych umożliwia uwierzytelnionym atakującym z uprawnieniami do zarządzania eskalacjami hostów w Menedżerze Konfiguracji Podstawowej wykonanie dowolnych poleceń SQL poprzez ustawienia powiadomień eskalacji hostów.

Podatność SQL Injection w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z uprawnieniami do konfiguracji banera ogłoszeń wykonanie dowolnych poleceń SQL poprzez parametr ID przesyłany do funkcji update_banner_message().

Podatność na skryptowanie między witrynami (XSS) w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z dostępem do komponentu niestandardowego logo wstrzyknięcie dowolnego kodu JavaScript lub HTML za pomocą pola tekstu alternatywnego. Atak wpływa na wszystkie strony zawierające pasek nawigacyjny, w tym stronę logowania, co pozwala na kradzież haseł w postaci jawnego tekstu.

Podatność SQL Injection w Nagios XI w wersjach od 5.11.0 do 5.11.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez parametr ID w żądaniu POST do skryptu banner_message-ajaxhelper.php.

W edytorze Jodit w wersji 4.0.0-beta.86 wykryto podatność na ataki typu Cross-Site Scripting (XSS). Luka umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript za pośrednictwem komponentu edytora tekstu sformatowanego.

Podatność w bibliotece Coffee-jumbo v13.6.1 umożliwia wyciek tokena dostępu do kanału, co pozwala atakującym na wysyłanie spreparowanych wiadomości.

Podatność w youmart-tokunaga v13.6.1 umożliwia wyciek tokena dostępu do kanału, co pozwala atakującym na wysyłanie spreparowanych wiadomości.

Podatność w aplikacji TonTon-Tei_waiting Line w wersji 13.6.1 umożliwia wyciek tokena dostępu do kanału. Atakujący mogą wykorzystać ten token do wysyłania spreparowanych wiadomości.

Podatność w aplikacji THE_B_members card w wersji 13.6.1 umożliwia wyciek tokena dostępu do kanału. Atakujący może wykorzystać ten token do wysyłania spreparowanych wiadomości.

W aplikacji YKC Tokushima_awayokocho Line w wersji 13.6.1 wykryto wyciek informacji, który umożliwia atakującym uzyskanie tokena dostępu do kanału. Posiadając ten token, mogą oni wysyłać spreparowane wiadomości.

Podatność w aplikacji Cheese Cafe Line v13.6.1 umożliwia wyciek tokena dostępu do kanału. Atakujący może wykorzystać ten token do wysyłania spreparowanych wiadomości.

W systemie Camp Style Project Line w wersji 13.6.1 wykryto wyciek informacji, który umożliwia atakującym uzyskanie tokena dostępu do kanału i wysyłanie spreparowanych wiadomości.

W glibc odkryto usterkę polegającą na użyciu zwolnionej pamięci w funkcji getaddrinfo. W bardzo rzadkiej sytuacji, gdy moduł NSS implementuje tylko określone haki, a zapytanie spełnia specyficzne warunki, może dojść do awarii aplikacji.